WhatsApp Entegrasyonu KVKK Hakkında

Merhaba,


Bir otel işletmesi için WhatsApp entegrasyonlu bir rezervasyon uygulaması geliştirmeyi planlıyorum. Uygulama kapsamında müşterilerin ad, soyad ve telefon numarası gibi kişisel bilgileri alınarak rezervasyon bilgilendirmeleri WhatsApp üzerinden iletilecek.
Müşteri bilgilerini hukuka uygun şekilde elde etsek dahi, WhatsApp'ın yurt dışı merkezli bir hizmet sağlayıcı olması nedeniyle bu işlem KVKK kapsamında yurt dışına veri aktarımı olarak değerlendirilir mi?
Bu durum herhangi bir hukuki risk oluşturur mu? Oluşturuyorsa açık rıza alınması veya farklı önlemler uygulanması gerekir mi?

Çok büyük riskler olusturur. Öncelikle KVKK veri işleme izni almanız gerekiyor. Konudan bağımsız günümüzde herkes uygulamalar siteler hazırlıyor ama kimse buna dikkat etmiyor. Yakında büyük cezaların geldiği konuları görmek mümkün.

yurt dışına veri aktarımı olarak sağlanır buda otellerin asla ve asla almayacağı riskten türde bir şey oteller kvkk ya çok dikkat ediyorlar yaptırımları çok fazla. önlem alınabilir ama tam anlamıyla korur mu hayır

@EsatBeySHOP; @joker0;

Hukuka uygun nasıl yaparız, bu konuda resmiyete uygun ne yapılabilir peki? Bir öneriniz var mı?

Merhaba, kolay gelsin. Evet, müşteri bilgisinin WhatsApp üzerinden gönderilmesi yurt dışına aktarım sayılıyor. 1 Haziran 2024ten beri geçerli kuralda sürekli aktarım için yeterlilik kararı ya da uygun güvence gerekiyor, pratikte bu Kurulun standart sözleşmesi oluyor; metin değiştirilmeden kullanılıyor ve imzadan sonra 5 iş günü içinde Kuruma bildiriliyor. Açık rıza artık yalnız arızi, yani ara sıra yapılan aktarımlarda istisna olarak geçiyor, rezervasyon bildirimi gibi sürekli bir akışta tek başına yeterli sayılmıyor. Aydınlatma metninde de bildirimlerin WhatsApp ile yapıldığını ve verinin yurt dışına aktarıldığını yazmak gerekiyor; Meta tarafında standart sözleşmenin nasıl yapılacağını ve bildirimi kimin yapacağını netleştirmek için bir KVKK avukatına da danışmanızı öneririm. Entegrasyon tarafında takıldığınız yer olursa yazın.

Merhaba, WhatsApp üzerinden rezervasyon bilgilendirmesi yapılması kişisel verilerin yurt dışına aktarılması sonucunu doğurabilir ve KVKK kapsamında hukuki risk oluşturabilir. Müşteri bilgilerinin hukuka uygun alınması tek başına yeterli değildir. Özellikle sürekli yapılan aktarımlarda yalnızca açık rızaya dayanılması uygun olmayabilir. KVKK 9. madde kapsamında standart sözleşme gibi güvencelerin değerlendirilmesi, aydınlatma metinlerinin hazırlanması ve veri akışının incelenmesi gerekir. Uygulama faaliyete geçmeden önce hukuki uyum sürecinin tamamlanmasını tavsiye ederm, bu konuda hukuki destek sağlayabilirim.

Whatsapp üzerinden mesaj göndermek KVKK m.9 kapsamında yurt dışına aktarım olarak değerlendirilir. Whatsapp’ın işletmeci tarafında kullanılan Whatsapp Business Platform’u (Cloud API) Meta tarafından işletilir ve veriler Türkiye dışındaki sunucularda işlenir. Ad, soyad ve telefon numarası kişisel veridir, rezervasyon bilgisi de bunlarla ilişkilendirildiğinde kişisel veri olur. Bu nedenle mesaj içeriği ve numaralar Meta’nın altyapısına gittiği için otel veri sorumlusu, Meta ise veri işleyen konumunda olur. Normal Whatsapp uygulamasından elle mesaj atmak ile API entegrasyonu arasında da fark vardır; API ile otomatik ve sistematik aktarım yapıldığı için riski daha görünür kılar.

2024 değişikliğinden sonra bu aktarım için yeterlilik kararı, standart sözleşme gibi uygun güvencelerden birine dayanmanız gerekir. Sürekli ve tekrarlı bir aktarımda yalnızca açık rıza sağlıklı bir dayanak değildir. Bu nedenle pratikte şunları öneririm: Meta’nın ticari işletme koşullarındaki veri işleme ekini inceleyip KVKK standart sözleşmesinin nasıl sağlandığını kontrol etmek, sözleşme imzalandıysa 5 iş günü içinde Kurum’a bildirmek, otelin aydınlatma metninde WhatsApp üzerinden bilgilendirme yapıldığını ve yurt dışı aktarım olduğunu açıkça belirtmek, rezervasyon formunda müşterinin WhatsApp ile iletişimi seçtiğini ayrıca göstermek. Ticari elektronik ileti niteliğindeki mesajlar (kampanya, tanıtım gibi) için ayrıca İleti Yönetim Sistemi ve ticari ileti onayı gerekir; yalnızca rezervasyon onayı, hatırlatma ve bilgilendirme gibi hizmet mesajları ise bunun dışında kalır. Mesaj içeriğinde de gereksiz kişisel veri (kimlik numarası, ödeme bilgisi) paylaşmamak veri minimizasyonu açısından önemlidir.

Uygulamanın mimarisine göre rolleriniz (otel mi veri sorumlusu, siz mi veri işleyen) değişebilir; bu nedenle otelle yapacağınız sözleşmede veri işleme şartlarının açıkça yazılması gerekir. Aktarım mekanizmasının kurulması, sözleşme ve aydınlatma metinlerinin hazırlanması için profesyonel hukuki destek almak üzere iletişime geçebilirsiniz.